思科修复严重的企业 NFVIS 缺陷

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

思科修复了企业网络功能可视化基础设施软件 (NFVIS) 中的一个严重漏洞，可被攻击者用于控制受影响系统。

该漏洞的编号为 CVE-2021-34746，CVSS 评分为9.8，可导致远程攻击者规避认证并以管理员身份登录到易受攻击的设备。

思科表示已发现公开的 PoC 利用代码，但未检测到成功的在野武器化尝试。该问题是因为在登录过程中对认证脚本的用户输入验证不完整造成的，导致攻击者可在认证请求中注入参数。该公司发布安全公告表示，“成功利用可导致攻击者绕过认证并以管理员身份登录到受影响设备。”

值得注意的是，NFVIS 部署受影响的前提条件是 TACACS 外部认证方法在目标设备已配置，可通过运行 “show running-config tacacs-server” 命令判断是否配置。该公司表示，“如果该命令的输出为 No entries found，则表明 TACACS 外部认证特性并未启用。”

思科推出更新解决严重漏洞 (CVE-2021-1577) 的更新后，上文所述漏洞的补丁发布。CVE-2021-1577 影响 Nexus 9000 系列交换机中所使用的 APIC 接口，可被滥用于在易受攻击系统上读或写任意文件。

思科还在准备修复位于 ADSM Launcher 中的 0day (CVE-2021-1585)，该漏洞可导致未认证的远程攻击者在用户操作系统上执行任意代码。

推荐阅读

思科称其安全设备易受 SNIcat 数据渗透攻击
VPN路由器存在 RCE 0day，思科不打算修复
思科智能交换机受多个严重漏洞影响
思科修复 SMB VPN 路由器中严重的代码执行漏洞

原文链接

https://thehackernews.com/2021/09/cisco-issues-patch-for-critical.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~